Ataques cibernéticos e vazamento de dados: o que a LGPD exige das empresas
Um ataque cibernético não representa necessariamente a interrupção das operações de uma empresa. É possível que os sistemas continuem funcionando normalmente e que, ainda assim, informações armazenadas em suas bases sejam acessadas por pessoas não autorizadas.
Um ataque cibernético não representa necessariamente a interrupção das operações de uma empresa. É possível que os sistemas continuem funcionando normalmente e que, ainda assim, informações armazenadas em suas bases sejam acessadas por pessoas não autorizadas.
O ataque cibernético sofrido pelo Hospital Israelita Albert Einstein, em agosto deste ano, e comunicado aos pacientes em outubro, traz novamente à discussão uma questão que foi trazida neste coluna há duas semanas e que merece atenção de empresas de todos os setores: o que acontece quando uma organização sofre um incidente de segurança que compromete dados pessoais? Nesta oportunidade, contudo, focaremos nossa abordagem em outro aspecto do problema: quais são as obrigações legais de quem enfrenta uma situação como essa e como deve se dar a comunicação aos titulares?
Segundo informações divulgadas pela imprensa em 8 de outubro, o hospital teria identificado indícios do ataque em 4 de agosto e confirmado o acesso não autorizado a parte de sua base de dados de pacientes. Entre as informações potencialmente acessadas estão dados cadastrais, como nome, CPF e data de nascimento, além de informações relacionadas à saúde, incluindo prescrições médicas e resultados de exames (estes últimos, classificados como dados sensíveis). A instituição informou que não havia encontrado evidências de divulgação ou utilização indevida dos dados e que o episódio havia sido comunicado à Agência Nacional de Proteção de Dados (ANPD) e à Polícia Federal. Também esclareceu que o incidente não afetou o atendimento aos pacientes e os sistemas de prontuário eletrônico. A investigação, contudo, permanece em andamento, inclusive para determinar a extensão do acesso e as categorias de informações efetivamente comprometidas.
O caso permite compreender uma distinção importante: um ataque cibernético não representa necessariamente a interrupção das operações de uma empresa. É possível que os sistemas continuem funcionando normalmente e que, ainda assim, informações armazenadas em suas bases sejam acessadas por pessoas não autorizadas. A continuidade operacional, portanto, não é suficiente para afastar a existência de um incidente de segurança, tampouco sua possível repercussão jurídica.
Quando estão envolvidos dados pessoais, a Lei Geral de Proteção de Dados Pessoais (LGPD) e a Resolução CD/ANPD nº 15, de 24 de abril de 2024 (que aprovou o Regulamento de Comunicação de Incidente de Segurança e definiu os procedimentos aplicáveis a essas situações) estabelecem obrigações específicas. A norma não exige a comunicação obrigatória de todo e qualquer incidente que envolva dados pessoais. A obrigação de comunicar surge quando estão presentes determinados requisitos regulamentares, especialmente a possibilidade de o incidente acarretar risco ou dano relevante aos titulares.
A avaliação considera se o evento pode afetar significativamente interesses e direitos fundamentais das pessoas envolvidas e se estão presentes determinados fatores, como o tratamento de dados pessoais sensíveis, informações de crianças, adolescentes ou idosos, dados financeiros, credenciais de autenticação, informações protegidas por sigilo legal, judicial ou profissional ou dados tratados em larga escala. Esses critérios devem ser analisados em conjunto, considerando as circunstâncias concretas do incidente.
No caso do Einstein, a possível exposição de informações de saúde merece atenção especial. A LGPD classifica os dados referentes à saúde como dados pessoais sensíveis, sujeitos a um regime de proteção específico em razão do potencial de discriminação e de outros prejuízos que seu uso indevido pode ocasionar. Um resultado de exame ou uma prescrição médica não tem o mesmo significado que um dado cadastral isolado: dependendo do contexto, sua exposição pode afetar a intimidade, a dignidade e a vida pessoal do titular. É justamente essa diferença que torna indispensável uma avaliação criteriosa dos riscos.
Mas quem deve ser comunicado quando um incidente dessa natureza ocorre? E como deve ocorrer essa comunicação? A regulamentação prevê duas comunicações distintas: uma à ANPD e outra aos titulares dos dados afetados. Em ambas, o prazo geral é de três dias úteis, contados do conhecimento, pelo controlador, de que o incidente afetou dados pessoais. Não se trata, portanto, de contar necessariamente três dias a partir da invasão inicial, mas de considerar o momento em que a organização toma conhecimento de que o evento atingiu dados pessoais, sem que isso autorize atrasos injustificados na apuração e na comunicação.
A comunicação à ANPD deve apresentar informações sobre a natureza e as categorias dos dados afetados, a quantidade de titulares envolvidos, as medidas de segurança adotadas, os riscos identificados e os possíveis impactos. Já a comunicação aos titulares deve ser feita em linguagem simples e de forma direta e individualizada, sempre que possível. Também deve informar quais dados foram afetados, os riscos relacionados ao incidente, as medidas adotadas ou previstas para mitigar seus efeitos, a data em que a organização tomou conhecimento do ocorrido e os canais disponíveis para esclarecimentos.
A regulamentação admite que a comunicação à ANPD seja realizada inicialmente de forma preliminar, quando não houver informações completas, com posterior complementação no prazo regulamentar de até 20 dias úteis, contado da primeira comunicação. Essa possibilidade reconhece desafios inerentes a investigações técnicas, como o fato de que elas podem demandar tempo considerável, especialmente quando os dados estão distribuídos por diferentes sistemas e bases. A incompletude das informações, entretanto, não deve servir de justificativa para deixar de comunicar o incidente quando já estiver configurada a obrigação legal.
É nesse contexto que deve ser compreendido o comunicado encaminhado pelo Einstein aos pacientes. Informar individualmente as pessoas potencialmente afetadas extrapola o âmbito do relacionamento institucional, configurando uma das medidas jurídicas previstas na regulamentação brasileira. Ao mesmo tempo, a comunicação deve ser suficientemente clara para permitir que o titular compreenda o que aconteceu, quais informações podem ter sido comprometidas e os cuidados que deve adotar. A transparência é especialmente relevante quando o próprio incidente pode ser explorado por terceiros para aplicar golpes, utilizando informações pessoais ou de saúde para conferir credibilidade a mensagens, ligações e pedidos fraudulentos.
Fato é que, nos mais diversos setores da economia, a resposta a um incidente exige mais do que tecnologia. É necessário que a organização disponha de procedimentos para identificar o evento, preservar evidências, avaliar os dados atingidos, conter os efeitos do ataque e determinar, com agilidade, se as comunicações previstas na LGPD são obrigatórias. Também é fundamental definir previamente as responsabilidades das equipes jurídica, de tecnologia, de segurança da informação, de comunicação e da alta administração, além de estabelecer protocolos para o relacionamento com fornecedores e prestadores de serviços. Ter tudo isso previamente documentado em políticas internas da empresa pode ser um grande facilitador em momentos de crise.
O episódio reforça uma conclusão que deveria orientar as decisões empresariais no quesito segurança da informação: a de que a prevenção de incidentes, a capacidade de resposta e o cumprimento das obrigações legais integram a governança corporativa. Em um ambiente no qual dados pessoais circulam entre diferentes organizações e sistemas, estar preparado para um ataque não significa presumir que ele jamais ocorrerá, mas saber como agir quando ocorrer (em outras palavras, a famosa “resiliência cibernética”) E, diante de um incidente que possa afetar direitos dos titulares, comunicar de forma tempestiva, transparente e responsável é parte essencial dessa resposta.
Roberta Lopes da Cruz Antonio escreve quinzenalmente para o BE News. Seus textos são publicados às quartas-feiras.
